CVE-2018-8090

Secuestro de DLL en Quick Heal Total Security/Internet Security/Antivirus Pro (Instaladores)

Productos afectados:

• Quick Heal Total Security - 17.00
• Quick Heal Internet Security - 17.00
• Quick Heal AntiVirus Pro - 17.00

Instaladores afectados:

• Quick Heal Total Security 64 bits 17.00 (QHTS64.exe), (QHTSFT64.exe) - Versión 10.0.1.38
• Quick Heal Total Security 32 bits 17.00 (QHTS32.exe), (QHTSFT32.exe) - Versión 10.0.1.38
• Quick Heal Internet Security 64 bits 17.00 (QHIS64.exe), (QHISFT64.exe) - Versión 10.0.0.37
• Quick Heal Internet Security 32 bits 17.00 (QHIS32.exe), (QHISFT32.exe) - Versión 10.0.0.37
• Quick Heal AntiVirus Pro 64 bits 17.00 (QHAV64.exe), (QHAVFT64.exe) - Versión 10.0.0.37
• Quick Heal AntiVirus Pro 32 bits 17.00 (QHAV32.exe), (QHAVFT32.exe) - Versión 10.0.0.37

Todos los instaladores anteriores permiten el secuestro de DLL debido a una carga insegura de librerías. Como todos estos instaladores requieren privilegios de administrador, es posible cargar y ejecutar código con privilegios de administrador.

DLL que se pueden cargar en versiones de 32 bits:

• cryptsp.dll
• cryptnet.dll
• cryptbase.dll
• gpapi.dll
• ncrypt.dll
• profapi.dll
• sensapi.dll
• userenv.dll

DLL que se pueden cargar en versiones de 64 bits:

• cryptsp.dll
• cryptbase.dll
• iphlpapi.dll

Cronología:

• 04/Dic/2017 - Vulnerabilidad reportada a Quick Heal
• 25/Dic/2017 - Quick Heal reconoció la vulnerabilidad
• 27/Abr/2018 - Vulnerabilidad corregida (Versión de Total Security - 10.0.1.46)
• 23/Jul/2018 - Recompensa recibida (30,000 rupias)

Enlaces adicionales

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8090

https://nvd.nist.gov/vuln/detail/CVE-2018-8090